ヘルステック企業のCareCloudで発生したデータ漏洩により、370万人の患者が影響を受ける

米国の医療IT企業ケアクラウドは、今年初めに発生したデータ漏洩事故により、370万人以上の個人に影響が及んだことを明らかにした。

同社は上場企業であり、電子カルテ、医療請求、診療所管理、および収益サイクル関連サービスを提供している。

同社は3月、米国証券取引委員会（SEC）への提出書類を通じてこの事案を公表し、この攻撃により同社のプラットフォームで8時間にわたるネットワーク障害が発生し、データベースの1つへのアクセスが遮断されたと述べた。

当時、同社は侵害された環境に患者データが含まれていたと述べ、機密性の高い医療情報が盗まれるリスクがあることを示唆していた。

この事案を受け、CareCloud社は被害の範囲や影響を受けた可能性のある人数を特定するため、調査を開始した。

米国保健社会福祉省（HHS）への報告書の中で、同社は、この情報漏洩の影響を受けた人数が3,756,469人であったと報告している。

CareCloudは7月25日からデータ侵害通知の送付を開始し、調査の過程で明らかになった詳細情報を共有した。

「調査の結果、2026年3月10日から3月16日の間に、権限のない第三者がCareCloudのAWS環境の1つにアクセスし、その環境内のデータベースからデータを持ち出したと主張していることが判明した」と通知には記載されている。

当局に提出された通知書のひな形には、氏名以外に、漏洩したデータの種類については明記されていない。

通知の受領者には、IDXを通じて12か月または24か月の身元保護サービスが提供され、2026年12月17日まで利用可能です。

CareCloudは患者と直接的な関係を持っていないため、影響を受けた個人はおそらく今回が同社について初めて耳にすることになるでしょう。

サイバーセキュリティインシデントに起因するリスクを軽減するための適切な措置を講じるとともに、盗まれたデータを利用したフィッシング攻撃に対して引き続き警戒を強めることが推奨されます。

本記事執筆時点では、CareCloudへの攻撃について、ランサムウェアグループやデータ恐喝集団による犯行声明は出ていない。

当サイトは、本件に関する質問および調査結果についてCareCloudに問い合わせを行っており、情報が入り次第、本記事内容を更新する予定です。